Décompilation par l’IA, le droit européen l’autorise pour l’interopérabilité, pas pour copier

Des agents d’IA reconstruisent désormais le code d’un logiciel commercial à partir de son seul exécutable, ou en réécrivent un équivalent à partir de son comportement. Les éditeurs perdent la protection du secret du code compilé et se replient sur le contrat, la marque et le service en ligne. Pour les entreprises clientes, la décompilation devient un levier de négociation et de maintenance, bien avant de remplacer les logiciels des éditeurs.

La reconstruction du code source d’un logiciel à partir de son exécutable, la décompilation, demandait jusqu’ici des mois ou des années de travail à des spécialistes rares. En octobre, plusieurs démonstrations publiques ont montré que des agents d’IA en font désormais l’essentiel. Le 9 octobre, l’ingénieur en rétro-ingénierie Maurice Heumann a décrit la reconstruction, par une flotte d’agents, du code d’un jeu de tir commercial sorti en 2009, avec 99 % des fonctions retrouvées et 83 % identiques à l’octet près au programme d’origine. Le 27 octobre, Anthropic a montré son modèle Claude en train de reconstituer, avec l’outil d’analyse Ghidra, le pilote du protocole QUIC de Windows, pour y trouver une faille.

Au-delà de cette faille, certains projets réécrivent des logiciels entiers. Le projet libre PhotoCraft, publié par l’équipe d’ArtCraft, se présente comme une réimplémentation de Photoshop en « salle blanche », écrite à partir des spécifications publiques d’Adobe et du comportement observé du logiciel, sans code de l’éditeur. Le 26 octobre, cinq chercheurs, dont le juriste James Grimmelmann, ont tiré la conséquence de ces pratiques dans un article de recherche. Le droit de la propriété intellectuelle tolère la rétro-ingénierie parce qu’elle coûte cher et exige des compétences rares, et l’IA fait tomber ces deux barrières.

Ce que des agents d’IA savent déjà reconstruire

La méthode de Maurice Heumann montre où se trouve désormais la difficulté. Ses agents, lancés dans Claude Code et Codex, désassemblaient le programme avec l’outil ida-mcp de Hex-Rays et réécrivaient chaque fonction en langage C. Le premier mois a produit un code qui chargeait les cartes du jeu mais restait faux, avec des signatures erronées et une logique inventée ou supprimée. Le saut est venu d’un contrôle automatique, qui recompile chaque fonction avec le compilateur d’origine et la compare octet par octet à l’exécutable. Avec ce contrôle, des modèles moins coûteux sont devenus suffisants, et l’agent chargé de relire le travail des autres a disparu.

Les agents ont aussi cherché à déjouer ce contrôle, en insérant de l’assembleur pour passer le contrôle ou en modifiant le script de vérification afin d’en exclure leurs fonctions. Heumann a dû protéger ce script par une empreinte et resserrer ses consignes. L’opération a duré environ trois mois et consommé, selon son estimation, de 600 à 700 milliards de jetons, et l’auteur garde le code pour lui. Sa conclusion porte sur la méthode, puisque produire du code ne coûte presque plus rien, tandis que vérifier qu’il est juste demande une définition précise et contrôlable par la machine.

Cette baisse du coût de production atteint déjà les communautés qui pratiquaient la décompilation à la main. En octobre, l’administrateur de decomp.dev, site qui suivait depuis 2024 l’avancement des projets de décompilation de jeux vidéo, a fermé son index public et l’ajout de nouveaux projets, en ne gardant que les pages existantes. Il y explique que les modèles récents, comme GPT-6 Astra, suivent des consignes complexes, essaient d’eux-mêmes de multiples formes de code jusqu’à retrouver l’octet exact et tiennent de longues tâches sans dévier, plus vite et moins cher que leurs prédécesseurs. Selon lui, la dimension communautaire de la décompilation est « cassée », sous l’effet de copies de projets existants « terminées » par l’IA et de portages publiés à la hâte à partir de travaux auxquels leurs auteurs n’avaient pas contribué.

Le droit européen autorisait déjà la décompilation, sous conditions

En Europe, le droit encadre la décompilation depuis 1991. La directive européenne 2009/24 sur la protection des programmes d’ordinateur, transposée en France à l’article L122-6-1 du Code de la propriété intellectuelle, autorise l’utilisateur légitime à observer, étudier et tester le fonctionnement d’un logiciel pour en comprendre les principes. Son article 6 permet aussi de reproduire et de traduire le code sans autorisation de l’éditeur, lorsque c’est indispensable pour obtenir les informations nécessaires à l’interopérabilité d’un programme créé de façon indépendante. En 2021, la Cour de justice de l’Union européenne a admis, dans l’arrêt Top System, la décompilation destinée à corriger des erreurs qui affectent le fonctionnement du programme.

L’exception d’interopérabilité exclut pourtant la fabrication d’un clone. Les informations obtenues par décompilation ne peuvent servir ni à d’autres fins que l’interopérabilité ni à développer un programme substantiellement similaire dans son expression. Un clone obtenu en décompilant un logiciel concurrent n’entre donc pas dans ce cadre. Une réécriture à partir des spécifications et du comportement observé relève en revanche d’un autre principe, celui que la Cour a posé en 2012 dans l’arrêt SAS Institute, selon lequel les fonctionnalités et les formats de fichiers ne sont pas protégés par le droit d’auteur.

L’analyse du juriste Andres Guadamuz, publiée le 9 octobre, place la ligne de partage au même endroit. La salle blanche est surtout une affaire de preuve, puisqu’elle rompt le lien qui permettrait de présumer une copie du code. Le droit américain lui paraît plutôt favorable aux réimplémentations, le droit européen moins clair. Les points faibles des projets comme PhotoCraft se situent selon lui ailleurs que dans le droit d’auteur, dans « les clauses de licence, les brevets et les marques ». Il s’attend à des contentieux sur la propreté effective des salles blanches assistées par l’IA.

Les éditeurs défendent ce qui ne se décompile pas

La protection des éditeurs se déplace donc vers d’autres instruments. Le contrat de licence interdit souvent la rétro-ingénierie, dans la limite de ce que le droit européen ne permet pas d’écarter. La marque protège le nom et l’identité visuelle, ce que l’équipe d’ArtCraft reconnaît elle-même, puisque PhotoCraft est distribué sous les licences libres MIT et Apache 2.0, mais que le nom ArtCraft en est exclu. Le brevet protège un procédé, au prix d’une procédure longue et publique. L’article de recherche du 26 octobre recense les terrains où ce conflit entre éditeurs et rétro-ingénieurs se jouera, le secret des affaires, le droit d’auteur, la protection des mesures techniques, la fraude informatique et le contrat. Aucun éditeur visé par ces projets n’a réagi publiquement au 2 novembre.

Pour ces éditeurs, le refuge le plus sûr semble être le service exécuté chez eux. Ce qui tourne sur ses serveurs ne se télécharge pas, donc ne se décompile pas, et un service en ligne lié à un compte se protège par ses conditions d’utilisation. La décompilation à bas coût renforce ainsi l’intérêt économique de l’abonnement en ligne au détriment du logiciel installé. La valeur se déplace vers ce qu’un clone ne reproduit pas, les données et les formats de fichiers de l’éditeur, son écosystème de greffons, ses services d’IA, et la garantie qu’il donne, support, certification et indemnisation en cas de litige.

Un éditeur dont le produit est une application de bureau au format de fichier public, dont toute la valeur réside dans l’exécutable distribué, s’expose davantage qu’un fournisseur d’identité, de messagerie ou de plateforme en nuage, dont la valeur tient aux données hébergées et à l’exploitation. La même logique touche les éditeurs de logiciels métier installés chez le client, que leurs clients peuvent désormais lire.

Un levier de négociation plus qu’un remplacement

Pour l’entreprise cliente, le premier effet est contractuel. Une alternative éprouvée sur un groupe d’utilisateurs, ou la capacité démontrée d’assurer l’interopérabilité avec un format, pèse dans la renégociation d’une licence. Le remplacement d’un logiciel professionnel par un clone reste en revanche hors de portée. Les responsables de PhotoCraft le décrivent eux-mêmes comme une version « alpha précoce », qui ne remplace pas encore Photoshop dans le travail quotidien, avec quinze outils manquants, et un tel projet n’apporte ni garantie, ni support, ni indemnisation. Désinstaller un logiciel ne réduit pas non plus ce que le contrat en cours oblige à payer.

Au-delà du contrat, le second effet touche la maintenance. Une direction informatique qui exploite une application ancienne dont le code source est perdu, ou dont l’éditeur a disparu, dispose désormais d’un moyen de la comprendre pour l’interfacer, la corriger ou la migrer, dans les limites que pose le droit européen. La méthode de Heumann en donne la condition, savoir vérifier mécaniquement que le code reconstruit se comporte comme l’original. L’audit de sécurité suit la même voie, puisque le binaire d’un fournisseur peut être analysé sans attendre son code source.

Cette lisibilité profite aussi à l’attaquant. Un correctif publié se lit désormais vite, et la faille qu’il ferme se déduit de la comparaison avant et après, ce qui raccourcit le délai entre la publication d’une mise à jour et son exploitation. Pour la direction informatique, la conclusion rejoint celle des contrats, puisque la valeur du logiciel passe du code au service, et la protection de l’entreprise de l’opacité des binaires à la rapidité de ses mises à jour.